AML-Glossar

Attribution ist die Verbindung zwischen einer Blockchain-Adresse und einem realen Dienst oder Akteur – einer benannten Börse, einem Zahlungsdienstleister, einem Marktplatz, einer gelisteten Entität. Über eine attribuierte Adresse lässt sich argumentieren; eine nicht attribuierte Adresse lässt sich nur anhand dessen beschreiben, womit sie in Berührung kam. Der größte Teil der Distanz zwischen einer sicheren Entscheidung und einer festgefahrenen Prüfung liegt darin, ob ein Name vorliegt.

Belastetes Bitcoin ist BTC, dessen Transaktionshistorie auf einen Diebstahl, eine Ransomware-Zahlung, einen Darknet-Marktplatz oder eine sanktionierte Adresse zurückgeht. Bitcoin hat keinen Emittenten, der Coins einfrieren könnte, daher zeigt sich die Belastung als geprüfte oder abgelehnte Einzahlung bei der empfangenden Plattform statt als blockierter Transfer on-chain. Weil jeder Output seine eigene Historie trägt, gehört die Belastung zu bestimmten Coins, nicht zu einer Wallet.

Chain-Hopping bezeichnet Wert, der rasch über mehrere Blockchains bewegt wird, meist über Bridges oder Swap-Dienste. Es wird als Muster benannt, weil eine schnelle Cross-Network-Bewegung eine der Formen ist, die auftritt, wenn jemand versucht, Distanz zwischen Geldern und ihrem Ursprung zu schaffen – und ebenso routinemäßig, wenn ein gewöhnlicher Nutzer eine günstigere Gebühr oder ein unterstütztes Einzahlungsnetzwerk sucht. Was es nicht tut, ist Historie zu entfernen: Jede Etappe ist öffentlich, und das Screening meldet die Verbindung, statt sie an der Grenzstelle zu verlieren.

Ein Cluster ist eine Gruppe von Blockchain-Adressen, die als unter derselben Kontrolle stehend eingeschätzt und für Screening-Zwecke als eine Partei behandelt werden. Dienste erzeugen ständig Adressen – eine neue Einzahlungsadresse pro Kunde, eine neue Wechselgeldadresse pro Transaktion –, sodass eine einzelne Adresse selten das ganze Bild zeigt. Clustering ist das, was einen Namen an mehr als eine Adresse zugleich heften lässt.

CoinJoin ist eine gemeinsame Bitcoin-Transaktion, bei der mehrere Teilnehmer Inputs beisteuern und Outputs von gleichem Wert erhalten, sodass die Zuordnung zwischen einem bestimmten Input und einem bestimmten Output mehrdeutig statt eindeutig ist. Es handelt sich um eine Datenschutztechnik, die auch von Personen ohne kriminelle Absicht genutzt wird, und gleichzeitig um eine Kategorie, die manche regulierte Plattformen bei Einzahlungen hinterfragen. Beide Aussagen stimmen gleichzeitig, weshalb die entscheidende Frage nicht lautet, ob CoinJoin legitim ist, sondern was die Plattform, bei der Sie einzahlen, damit tut.

Ein Darknet-Marktplatz ist ein illegaler Marktplatz, der über ein Anonymisierungsnetzwerk betrieben wird und bei dem in Krypto bezahlt wird; die Einzahlungs-, Auszahlungs- und Verkäuferadressen, die er nutzt, lassen sich als Cluster zuordnen. Wenn eine Prüfung Darknet-Exposure benennt, heißt das: Der Wert an dieser Adresse ist mit diesem Cluster verbunden, entweder direkt oder über den Weg, den er zurückgelegt hat. Regulierte Plattformen behandeln diese Verbindung als Ertrag aus einer Vortat, weshalb sie meist eine Einzahlung stoppt, statt sie nur zu vermerken.

Dirty Crypto ist Krypto, dessen On-Chain-Historie es mit sanktionierten Entitäten, gestohlenen Geldern, Ransomware-Zahlungen, Darknet-Marktplätzen oder Betrugserträgen verbindet. Die Bezeichnung haftet an den Mitteln und ihrer Spur, nicht am Token-Typ oder der Wallet-Software, und sie übersteht jeden Transfer auf eine neue Adresse. Wer sie empfängt, erbt die Erklärungspflicht.

Verstärkte Sorgfaltspflichten sind die vertiefte Prüfung, die ein reguliertes Unternehmen anwendet, wenn ein Kunde, eine Transaktion oder eine Jurisdiktion ein höheres Risiko als der Standardfall trägt. Sie gehen über die Identitätsprüfung hinaus zur Herkunft des Geldes, zum Zweck der Geschäftsbeziehung und zu einem engmaschigeren laufenden Monitoring. Ob sie greifen, ist eine Risikoeinschätzung des Unternehmens – und eine, die es im Nachhinein begründen können muss.

Ein Entitäts-Label ist der Name, den ein Prüfergebnis einer Adresse zuweist: die Börse, der Zahlungsdienstleister, der Marktplatz, der Tauschdienst oder der benannte Akteur, dem sie gehört. Es ist die lesbare Hälfte eines Ergebnisses – die Kategorie sagt, um welche Art von Adresse es sich handelt, das Label sagt, um welche genau. Labels machen eine Prüfung für einen Kollegen, eine Bank oder einen Prüfer, der keine Blockchains liest, nachvollziehbar.

ERC-20 ist der Token-Standard auf Ethereum, und als solcher werden USDT, USDC und DAI ausgegeben, wenn sie auf diesem Netzwerk liegen. Eine Ethereum-Adresse besteht aus 0x gefolgt von 40 hexadezimalen Zeichen, mit einer EIP-55-Prüfsumme, die sich in der Groß- und Kleinschreibung ausdrückt, und dieselbe Adresse hält ETH zusammen mit jedem an sie gesendeten ERC-20-Token. Zwei der größten ERC-20-Stablecoins haben Emittenten, die sich Kontrollrechte auf Vertragsebene über Guthaben vorbehalten – der Unterschied, der am meisten zählt, wenn Sie eine Zahlung annehmen.

EU-Sanktionen, formell restriktive Maßnahmen, sind die Verbote, die die Europäische Union gegen Staaten, Entitäten und Einzelpersonen erlässt, und die konsolidierte Liste der Personen, Gruppen und Entitäten, die EU-Finanzsanktionen unterliegen, wird als öffentlicher Datensatz veröffentlicht. Für ein Desk innerhalb der EU ist eine Gegenpartei mit Bezug zu einer gelisteten Person eine rechtliche Frage und keine Frage der Risikobereitschaft. Dieselbe Adresse kann unter der Liste einer Jurisdiktion unauffällig und unter einer anderen gelistet sein – welche Liste für Sie gilt, entscheidet also, was das Ergebnis bedeutet.

Exposure ist die Verbindung zwischen einer Adresse und einer benannten Risikokategorie – wie ihre Gelder mit Sanktionen, einem Darknet-Marktplatz, einem Mixer, gestohlenen Geldern, Betrug oder einem nicht lizenzierten Anbieter zusammenhängen. Direkte Exposure bedeutet, dass die Gelder unmittelbar zwischen der Adresse und der markierten Partei selbst bewegt wurden; indirekte Exposure bedeutet, dass sie über eine oder mehrere Parteien dazwischen liefen. Exposure ist das, was ein Prüfergebnis meldet; was daraufhin zu tun ist, entscheidet die Richtlinie des Desks.

Ein False Positive ist eine Prüfmarkierung auf einer Adresse, die sich als legitim herausstellt – meist eine Adresse, deren Historie mit einem Dienst zusammenhängt und nicht mit einem Übeltäter. Im Krypto-Bereich liegt die übliche Ursache in der Bündelung: Adressen von Börsen, Zahlungsdienstleistern und Händlern verarbeiten Gelder von Tausenden nicht verbundenen Nutzern, sodass eine Verbindung zu einer markierten Partei besteht, ohne dass der Adressinhaber damit etwas zu tun hatte. Sie aufzulösen ist eine Attributionsfrage, kein Streit über die Gesamtbewertung.

Die FATF, die Arbeitsgruppe für finanzielle Maßnahmen gegen Geldwäsche, ist das zwischenstaatliche Gremium, das die Standards zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung setzt, die nationale Aufsichtsbehörden anschließend in eigenes Recht gießen. Aus ihrer Arbeit zu virtuellen Vermögenswerten stammen die Pflichten für Anbieter von Krypto-Dienstleistungen: Empfehlung 15 bringt virtuelle Vermögenswerte und VASPs in den Geltungsbereich, und Empfehlung 16, die Travel Rule, betrifft die Angaben zu Auftraggeber und Begünstigtem, die einen Transfer begleiten müssen. Die FATF beaufsichtigt Sie nicht direkt – das tut Ihre nationale Aufsichtsbehörde, unter Verwendung des FATF-Standards als Vorlage.

Ein Finanzagent (Money Mule) ist eine Person, deren Bankkonto oder Krypto-Wallet genutzt wird, um die kriminellen Erlöse einer anderen Person zu empfangen und weiterzuleiten – gegen eine Gebühr, einen Anteil oder ganz ohne Gegenleistung. Manche wissen, was sie tun; viele werden über Stellenanzeigen, Beziehungen oder Angebote angeworben, die wie gewöhnliche Arbeit klingen, und merken es erst, wenn ein Konto gesperrt wird oder ein Ermittler anruft. In der Prüfung ist die Finanzagenten-Adresse die Schicht zwischen einer Betrugssammelstelle und einem Cash-out-Punkt – deshalb taucht sie auf unauffällig wirkenden Wallets mit kurzer Historie auf.

Gegenparteirisiko bei Krypto ist die Exposure, die ein Unternehmen durch die Partei auf der anderen Seite eines Transfers eingeht: womit diese Partei verbunden ist und was die Annahme ihrer Mittel kostet, wenn die nächste Plattform Einwände erhebt. Es wird anhand der Adressen der Gegenpartei und ihrer On-Chain-Historie eingeschätzt, denn bei den meisten Krypto-Geschäften ist das die einzige überprüfbare Tatsache über sie. Das Risiko liegt selten darin, dass sie nicht zahlt – sondern darin, dass sie mit Geld zahlt, das Sie nirgends einzahlen können.

Eine gesperrte Adresse ist eine Adresse, deren Token-Guthaben nicht überwiesen werden kann, weil der Emittent des Tokens eine Kontrolle auf Contract-Ebene angewendet hat. Das Guthaben bleibt für jeden sichtbar, der die Chain liest – genau das macht die Situation beim ersten Mal verwirrend: Die Gelder wirken vorhanden, weil sie es sind, und lassen sich trotzdem nicht bewegen. Das ist ein anderer Zustand als eine Adresse, die in Screening-Daten lediglich markiert ist, wo Transfers normal funktionieren und die Konsequenz ist, dass Gegenparteien sie ablehnen können.

Gestohlene Gelder ist die Screening-Kategorie für Werte, die jemandem ohne dessen Einwilligung entzogen wurden – ein Protokoll-Hack, eine leergeräumte Wallet, ein Phishing-Verlust, ein Diebstahl unter Nötigung –, vorwärts verfolgt von der Adresse des Opfers. Sie beschreibt das Geld, nicht die Methode, weshalb sie im selben Ergebnis neben einem Hack-, Drainer- oder Phishing-Label auftauchen kann. Für jeden, der eine Zahlung empfängt, ist es die Kategorie, die am häufigsten unangekündigt eintrifft, weil gestohlener Wert über dieselben Retail-Kanäle ausgezahlt wird wie alles andere.

In der Screening-Sprache ist ein Hack der Diebstahl von Geldern aus einer Börse, Bridge, einem Protokoll oder Verwahrer durch einen technischen Angriff – im Unterschied zu Betrug, bei dem ein Opfer dazu gebracht wird, das Geld selbst zu senden. Die Adressen des Angreifers und der Weg, den die gestohlenen Werte danach nehmen, sind attribuierbar, meist innerhalb von Stunden, weil Vorfälle dieser Größenordnung öffentlich und in Echtzeit untersucht werden. Eine Wallet mit einer Hack-Verbindung hält oder hielt Werte aus einem dieser Ereignisse.

Ein Hochrisiko-Börse-Label markiert einen Handelsplatz, dessen veröffentlichte Kontrollen, Lizenzstatus oder Nutzerprofil seine Ein- und Auszahlungsadressen zu einer Kategorie machen, die ein Desk als erhöht einstuft. Es ist eine Aussage über die Gegenparteiqualität, keine Anschuldigung von Kriminalität, und einer der häufigsten Befunde bei gewöhnlichen Wallets. Was sich ändert, ist der Umfang an Dokumentation, den eine annehmende Institution verlangt, bevor sie Werte akzeptiert, die über diesen Handelsplatz kamen.

Ein Hop ist ein einzelner Transfer von einer Adresse zu einer anderen. Hops zu zählen ist die Art, wie Analysten Distanz beschreiben: ein Hop bedeutet, dass Gelder direkt zwischen zwei Parteien wechselten, drei Hops bedeuten, dass sie auf dem Weg zwei Adressen durchliefen. Distanz verändert, wie ein Prüfer eine Verbindung liest. Sie hebt die Verbindung nicht auf, denn jeder Hop ist selbst eine öffentliche, dauerhafte Transaktion.

Eine Bridge ist ein Dienst, der Wert zwischen Blockchains bewegt, indem er einen Vermögenswert auf der Quell-Chain sperrt oder verbrennt und einen entsprechenden Betrag auf der Ziel-Chain ausgibt. Sie ist gewöhnliche Infrastruktur, die ständig von gewöhnlichen Nutzern verwendet wird, und für sich genommen ist sie kein Beweis für irgendetwas. Das Screening meldet das Paar von Etappen, das eine Bridge erzeugt – woher der Wert kam, bevor er überquerte, und wohin er danach ging –, denn ein Transfer, der sich über die Grenzstelle hinweg nicht verbinden lässt, ist eine Lücke in der Dokumentation eines Desks, keine bereinigte Historie.

Phishing im Krypto-Bereich ist der Diebstahl von Keys, Seed-Phrasen oder Token-Freigaben durch Identitätsvortäuschung – eine geklonte Website, ein gefälschtes Wallet-Popup, ein Support-Konto, das zuerst geschrieben hat. Anders als beim Bank-Phishing gibt es keine Rückbuchung: Ist die Signatur einmal erteilt, ist die Überweisung endgültig, und die Erlöse landen auf Sammeladressen, die ein Screening zuordnen kann. Das Label bei einer Prüfung richtet sich deshalb an zwei Zielgruppen: an jemanden, der gerade signieren will, und an jemanden, der eine Zahlung annehmen soll, die von einer dieser Sammeladressen kam.

KYC – Know Your Customer – stellt fest, wer ein Kunde ist, anhand von Ausweisdokumenten, Verifizierung und Eigentümerdaten, normalerweise einmalig beim Onboarding. KYT – Know Your Transaction – screent, womit das Geld dieses Kunden verbunden ist, jedes Mal, wenn es sich bewegt. Beide beantworten unterschiedliche Fragen, und das Bestehen des einen sagt nichts über das andere aus: Ein vollständig verifizierter Kunde kann trotzdem Gelder einzahlen, die aus einer Ransomware-Wallet stammen.

KYT – Know Your Transaction – ist das laufende Screening von Krypto-Transfers und den Adressen dahinter, ausgeführt in dem Moment, in dem sich Geld bewegt, statt einmalig bei Kontoeröffnung. Es beantwortet, womit eine Zahlung verbunden ist: eine sanktionierte Entität, ein Darknet-Marktplatz, ein Mixer, ein Cluster gestohlener Gelder, ein unlizenzierter Handelsplatz. Wo KYC den Kunden identifiziert, beobachtet KYT, womit das Geld des Kunden in Berührung kommt.

Mittelherkunft ist die dokumentierte Herkunft des konkreten Geldes in einer Transaktion – woher es kam, von wem, und auf welcher Grundlage. In Krypto bedeutet das den Trade, das Gehalt, den Verkauf oder das Settlement, aus dem die Coins entstanden, belegt durch Unterlagen, die ein Dritter lesen kann, ohne Ihnen ein Wort glauben zu müssen. Das ist der Unterschied zwischen einer Einzahlungsprüfung, die in Tagen abgeschlossen ist, und einer, die nie abgeschlossen wird.

Eine No-KYC-Börse ist eine Plattform, auf der ein Nutzer tauschen oder handeln kann, ohne seine Identität nachzuweisen – das heißt, keine Institution hält eine Aufzeichnung, die den Handel mit einer Person verknüpft. Screening benennt die Kategorie, weil genau diese fehlende Aufzeichnung das ist, wonach eine empfangende Bank oder Börse bei der Prüfung einer Einzahlung fragt. Der praktische Effekt ist nicht, dass Gelder unauffindbar werden – die Transaktionen bleiben on-chain –, sondern dass niemand belegen kann, wer auf der anderen Seite stand, und die Last dieser Lücke landet bei demjenigen, der den Wert als Nächstes empfängt.

OFAC, das Office of Foreign Assets Control, ist die Einheit des US-Finanzministeriums, die amerikanische Sanktionsprogramme verwaltet und die SDN-Liste veröffentlicht. Digitalwährungsadressen können auf dieser Liste als Identifikatoren einer gelisteten Person oder Entität erscheinen – deshalb klärt ein Desk Sanktionen als Erstes bei einer Gegenparteiadresse. Ein Sanktionstreffer ist kein Risiko, das Sie gegen einen kommerziellen Vorteil abwägen; es ist eine rechtliche Tatsache darüber, wer auf der anderen Seite der Überweisung steht.

Eine Peel Chain ist ein Muster, bei dem ein großes Guthaben eine lange Folge von Transaktionen durchläuft, wobei jede einzelne einen kleinen Betrag in Richtung eines Cash-out-Punkts abtrennt, während der Rest zu einer neuen Adresse weiterwandert. Analysten erkennen sie an ihrer Form, nicht an einer einzelnen Transaktion, und sie zählt zu den älteren Typologien der On-Chain-Ermittlung. Sie in der Historie einer Gegenpartei zu finden, beweist für sich genommen keine Absicht, sagt einem Desk aber, dass der Wert vor ihm eine strukturierte Vergangenheit hat, die erklärt werden muss.

Eine politisch exponierte Person ist jemand, dem eine prominente öffentliche Funktion anvertraut ist – ein Staatsoberhaupt, ein hochrangiger Politiker, eine hochrangige Person aus Justiz, Militär oder Staatsunternehmen – zusammen mit der unmittelbaren Familie und engen Vertrauten. Der Status ist kein Vorwurf; er ist ein Marker dafür, dass die Geschäftsbeziehung ein höheres Bestechungs- und Korruptionsrisiko trägt und genauere Prüfungen braucht. PEP zu sein, ist kein Grund, einen Kunden abzulehnen, und eine pauschale Ablehnung verlangen die Standards nicht.

Pig Butchering ist eine langfristig angelegte Investment-Betrugsmasche, bei der ein Fremder über Wochen hinweg in einer Messaging- oder Dating-App eine Beziehung aufbaut, bevor er das Opfer auf eine gefälschte Handelsplattform lenkt. Die Einzahlungen sind real und verlassen das Wallet des Opfers; das auf der Plattform angezeigte Guthaben ist nur eine Zahl auf einer Webseite, und Auszahlungen werden verweigert oder an weitere Zahlungen geknüpft. Der Name stammt aus dem eigenen Wortschatz der Täter für das Mästen eines Ziels vor dem Schlachten, und das Muster zählt inzwischen zu den größten Kategorien kryptobasierten Betrugs nach Opferverlusten.

Ransomware ist Erpressungssoftware: Ein Angreifer verschlüsselt oder stiehlt die Daten einer Organisation und fordert Zahlung, meist in Kryptowährung, an Adressen, die er selbst kontrolliert. Diese Adressen und die Pfade, die von ihnen wegführen, sind attribuierbar, sodass ein Wallet, das Wert aus einer Lösegeldzahlung erhalten hat, die Verbindung trägt. Manche Ransomware-Akteure sind zudem sanktioniert, wodurch aus einer scheinbaren Risikokategorie eine rechtliche Verpflichtung wird.

Eine Risikostufe ist das Gesamtbewertungswort, das ein Screening-Ergebnis einer Adresse zuweist: unauffällig, niedrig, mittel, hoch oder kritisch, jeweils gepaart mit einer Empfehlung, freizugeben, vorsichtig zu sein, zu prüfen oder abzulehnen. Die Stufe fasst zusammen, womit die Adresse verbunden ist, sodass ein Operator handeln kann, ohne die Analyse darunter zu lesen. Die Wörter sind eine gemeinsame Sprache für eine Warteschlange, keine rechtliche Einstufung.

Sanktionsprüfung ist der Abgleich eines Namens, einer Entität oder einer Blockchain-Adresse mit offiziellen Sanktionslisten, die von Regierungen und internationalen Institutionen geführt werden. Im Krypto-Bereich besteht sie aus zwei Hälften: der Identität des Kunden gegen Namenslisten, und der Adressen, mit denen er transagiert, gegen die in Sanktionslistungen veröffentlichten Adressen. Es ist die einzige Kontrolle, bei der ein verpasster Treffer kein geschäftlicher Verlust ist, sondern ein rechtlicher.

Eine SAR – Verdachtsmeldung (suspicious activity report) – ist die Meldung, die ein reguliertes Unternehmen bei seiner nationalen Zentralstelle für Finanztransaktionsuntersuchungen (FIU) einreicht, wenn begründeter Verdacht besteht, dass Gelder mit Kriminalität zusammenhängen. In manchen Jurisdiktionen heißt dieselbe Meldung STR, suspicious transaction report. Die Pflicht entsteht durch einen Verdacht, der eine Prüfung übersteht, nicht durch einen Alert allein, und in den meisten Regimen darf der Kunde nicht darüber informiert werden, dass die Meldung erfolgt ist.

Sauberes USDT ist Tether, dessen Absenderadresse und Transaktionshistorie keine bekannte Verbindung zu Sanktionen, Diebstahl, Betrug oder einem kriminellen Marktplatz tragen und das nicht auf einer Sperrliste des Emittenten steht. Sauberkeit ist eine Aussage über eine Spur zu einem bestimmten Zeitpunkt, keine dauerhafte Eigenschaft einer Wallet. Weil USDT den Großteil des P2P- und OTC-Volumens abwickelt, ist es auch das Guthaben, das am häufigsten gestoppt wird, wenn die Spur schlecht ist.

Ein Scam-Label markiert eine Adresse, die Betrug gegen Nutzer zugeordnet ist – gefälschte Investmentplattformen, falsches Support-Personal, gefälschte Giveaways, Ware, die nie ankommt. Die Attribution stützt sich auf Opferberichte, veröffentlichte Untersuchungen und das On-Chain-Verhalten der Adressen, die die Erlöse sammeln und konsolidieren. Für jeden, der gerade Geld senden will, ist das die nützlichste einzelne Auskunft, die eine Prüfung liefern kann – denn diese Kategorie taucht meist vor dem Verlust auf, nicht danach.

Die SDN-Liste – Specially Designated Nationals and Blocked Persons – ist die Liste von OFAC mit Personen, Entitäten und Schiffen, deren Vermögen und Vermögensinteressen US-Personen blockieren müssen. Weil Digital-Currency-Adressen als Identifikatoren bei einer Designation erscheinen können, kann eine Krypto-Adresse genauso gelistet werden wie eine Kontonummer oder eine Passnummer. Ein Treffer ist kein Risikosignal, das gegen kommerzielle Faktoren abgewogen wird – er ist eine rechtliche Pflicht zum Handeln.